接下来是坐标转换的关键。他需要知道巡检手环使用的wGS-84坐标与工区工程坐标系之间的转换关系。这属于工务段的保密参数。林野把目光投向了工区的全站仪。全站仪在架站设站时，需要输入已知控制点的工程坐标和（通过仪器内置GNSS模块粗略测得的）wGS-84经纬度坐标。仪器内部会自动计算并存储一个简易的转换关系（通常只用平移量，精度不高，但用于徒步定位足够了）。
一次日常的cpIII网复测中，林野被安排辅助立棱镜杆。他“无意中”将棱镜杆上的圆气泡碰歪了一点点，导致一个测回数据超限。负责观测的技术员骂骂咧咧地重新设站。就在技术员低头操作全站仪键盘，输入已知点工程坐标和仪器显示的粗略经纬度时，林野站在他侧后方，借着调整棱镜杆高度的动作，用手机摄像头，以极其隐蔽的角度，清晰地拍下了全站仪屏幕上显示的几行关键信息：
＞ 已知点：cpIII 3285
＞ 工程坐标：x= .345, Y= .901, Z= 45.678
＞ wGS-84坐标：b=39°12'34.5678\"N, L=116°45'12.3456\"E, h=48.901 m
＞ （仪器内自动计算平移量：dx=xxx, dY=xxx, dZ=xxx）
虽然精度不高（全站仪内置GNSS定位精度在米级），但对于伪造几公里内的徒步轨迹，足够了！林野如获至宝，将这组转换参数（工程坐标和对应的wGS-84坐标）牢牢记住。
第三步：附魂——将幽灵轨迹注入“躯壳”。
这是最惊险的一步。林野的方案是：**时间同步，信号压制，坐标覆盖**。
他选择的目标是赵建国。老赵的胃病犯了，明天的五公里徒步巡检绝对无法完成。
1. 预演：在移动工作站的仿真软件里，加载好那个“.raw”数据包，设定起始点为K330+100（即拥有精确转换参数的点）。设定“回放”速度为正常步行速度（约5km\/h）。运行仿真。软件完美复现了当时轨检小车的运动轨迹，并实时输出每一个时间点对应的、经过坐标转换后的wGS-84经纬度（b, L, h）！
2. 同步：林野将赵建国的巡检手环“借”来（借口帮他充电或检查故障），用一根特殊的数据线（网上购买的可读写某些工控设备数据的破解线）连接到自己的笔记本电脑。他编写了一个极其简陋但有效的脚本程序：
* 脚本读取仿真软件实时输出的（b, L, h）数据流。
* 同时，脚本向手环持续发送一个伪造的、强力的“GNSS信号模拟”指令（利用手环固件中某个用于工厂测试的未公开接口漏洞）。这个指令会压制手环自身微弱的GNSS接收芯片，让它误以为处于一个信号极强的“理想定位环境”。
* 在压制的同时，脚本将读取到的仿真（b, L, h）数据，精确地、源源不断地按照对应的时间戳，“灌入”手环的定位模块缓冲区，覆盖其自身接收到的（如果有）微弱且可能漂移的真实信号！
3. 行走：第二天下午三点，规定的巡检时间。林野带着赵建国的手环和自己的笔记本电脑，来到工区后面一个废弃的、堆满生锈轨枕和杂草的料场角落。这里远离主要建筑物，GNSS信号本身就很差。他启动仿真软件，设定开始时间为下午3:00:00。同时运行那个脚本程序。手环屏幕上的卫星信号图标，诡异地瞬间从“弱”跳到了满格！
4. 附体：林野将手环放在一块平整的水泥板上（模拟佩戴在手腕上的轻微运动）。他看着仿真软件界面上，那个代表“幽灵轨检车”的光点，沿着虚拟的京哈线，以步行的速度，从K330+100 “走向”K330+600（约500米，符合短距离巡检要求）。而手环屏幕上显示的经纬度坐标，开始以均匀的速度变化，精确地沿着预设的、远离工区但合规的巡检路线移动！里程数稳定增加。
整个过程持续了约6分钟（步行500米）。林野屏住呼吸，像在进行一场危险的仪式。脚本运行稳定，数据流传输正常。仿真结束，手环显示的里程：0.51公里（符合要求），位置信息完美。
他停止脚本，断开连接。手环自身的GNSS芯片重新工作，信号瞬间跌回微弱状态，位置显示也跳回了料场的真实坐标。但，刚才那6分钟的“幽灵行走”数据，已经完整地记录在手环的内部存储器里了